Krytyczna luka wtyczki Icons Factory dla WordPress umożliwia usuwanie plików

Co wiadomo

Wtyczka Icons Factory dla WordPress do wersji 1.6.12 ma krytyczną lukę pozwalającą nieautoryzowanym atakującym na usuwanie dowolnych plików na serwerze. Luka wynika z niewystarczającej autoryzacji i błędnej walidacji ścieżek w funkcji delete_files().

Wpływ biznesowy

Eksploatacja tej luki może prowadzić do usunięcia kluczowych plików, takich jak wp-config.php, co może skutkować zdalnym wykonaniem kodu i przejęciem kontroli nad serwerem. Zagrożenie jest szczególnie poważne dla właścicieli stron opartych na WordPress korzystających z tej wtyczki, narażając ich na poważne naruszenia bezpieczeństwa i przestoje.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Icons Factory i aktualizację do najnowszej dostępnej wersji, jeśli została wydana. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji usuwania plików, przeanalizować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ekspozycję serwera i wdrożyć dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference